Entity Framework Core 基于多组过滤条件实现OR连接查询的安全方案

嗨，这个问题我之前也碰到过，手动拼接SQL确实容易踩SQL注入的坑，EF Core其实有好几种安全又优雅的方式来实现你要的多组OR过滤逻辑，完全不用手动拼SQL，我给你详细说说：

方案一：利用元组+Contains快速实现（EF Core 3.0+） #

这是最简单的方法，EF Core 3.0及以上支持对复合值（比如元组）的Contains查询，会自动帮你转换成(ColA = @p0 AND ColB = @p1) OR (...)这种参数化SQL，完全避免注入风险。

假设你的实体类是MyEntity，过滤条件集合是List<FilterSet>（FilterSet包含A和B两个属性），代码示例如下：

// 先把过滤集合转换成元组列表
var filterTuples = filterSets.Select(f => (A: f.A, B: f.B)).ToList();

// 构建LINQ查询
var result = await dbContext.MyEntities
    .Where(e => filterTuples.Contains((e.ColA, e.ColB)))
    .ToListAsync();

EF Core会自动生成参数化的SQL，每个过滤组的A和B都会作为独立参数传入，根本不用担心注入问题。

方案二：用PredicateBuilder构建动态OR条件（适合复杂场景） #

如果你的每组过滤条件不止两个字段，或者需要更复杂的逻辑组合，用PredicateBuilder会更灵活。你可以用第三方库LinqKit，也可以自己实现一个简易版：

方式1：使用LinqKit库 #

先通过NuGet安装LinqKit.Microsoft.EntityFrameworkCore，然后代码如下：

using LinqKit;

// 初始化一个默认返回false的表达式（因为我们要OR连接，初始值为false不会影响结果）
var predicate = PredicateBuilder.New<MyEntity>(false);

foreach (var filter in filterSets)
{
    // 注意捕获当前循环变量，避免闭包陷阱
    var currentFilter = filter;
    predicate = predicate.Or(e => e.ColA == currentFilter.A && e.ColB == currentFilter.B);
}

// 用AsExpandable()让EF Core能解析LinqKit的表达式
var result = await dbContext.MyEntities
    .AsExpandable()
    .Where(predicate)
    .ToListAsync();

方式2：自定义简易版PredicateBuilder #

如果不想引入第三方库，自己写一个简单的版本也完全够用：

public static class PredicateBuilder
{
    public static Expression<Func<T, bool>> New<T>(bool initialValue)
    {
        return initialValue ? (e => true) : (e => false);
    }

    public static Expression<Func<T, bool>> Or<T>(this Expression<Func<T, bool>> left, Expression<Func<T, bool>> right)
    {
        var invokedExpr = Expression.Invoke(right, left.Parameters.Cast<Expression>());
        return Expression.Lambda<Func<T, bool>>(Expression.OrElse(left.Body, invokedExpr), left.Parameters);
    }
}

用法和上面LinqKit的版本一样，只是不需要调用AsExpandable()。

备选：安全的原生SQL参数化（不推荐但可用） #

如果你一定要用原生SQL，也绝对不能直接拼接字符串，必须用参数化查询：

var sqlConditions = new List<string>();
var parameters = new List<SqlParameter>();
int paramCounter = 0;

foreach (var filter in filterSets)
{
    var paramNameA = $"@ColA_{paramCounter}";
    var paramNameB = $"@ColB_{paramCounter}";
    
    sqlConditions.Add($"(ColA = {paramNameA} AND ColB = {paramNameB})");
    parameters.Add(new SqlParameter(paramNameA, filter.A));
    parameters.Add(new SqlParameter(paramNameB, filter.B));
    
    paramCounter++;
}

var sql = $"SELECT * FROM MyEntities WHERE {string.Join(" OR ", sqlConditions)}";
var result = await dbContext.MyEntities
    .FromSqlRaw(sql, parameters.ToArray())
    .ToListAsync();

不过这种方式需要手动管理参数，不如LINQ方法优雅，除非有特殊需求，否则优先推荐前面两种LINQ方案。

内容的提问来源于stack exchange，提问作者codefluent